# Envoy v1.36.10

> Networking & Messaging · 2026-08-26

脆弱性修正を多数含む、セキュリティ対応を中心としたメンテナンスリリースです。通常の正確性に関する修正も含まれ、再読み込み可能な機能ゲートで動作を切り替える変更があります。

## 影響確認
- **[security]** パスセグメント単位のパラメーター除去
  - URL正規化を利用している場合に適用されます。
  - `url normalization`で、RFC 3986 section 3.3に従い、各パスセグメントからパスパラメーターを除去するようになりました。`envoy.reloadable_features.strip_path_parameters_per_segment`で元に戻せます。CVE-2026-73511（GHSA-m745-gh6x-349x）に対応しています。
- **[security]** HTTP/3フレーム処理の解放済みメモリ使用修正
  - `http3`を利用している場合に適用されます。
  - `http3`で、特定のタイミングで受信したHTTP/3フレームの並びによる解放済みメモリの使用を修正しました。CVE-2026-73512（GHSA-r6j2-mrm5-72mg）に対応しています。
- **[security]** HTTP/2トレーラー処理の異常終了修正
  - `http2`を利用している場合に適用されます。
  - `http2`で、`END_STREAM`フラグなしで受信したトレーラーによる異常終了を修正しました。CVE-2026-73513（GHSA-jjmm-fw8p-crpw）に対応しています。
- **[security]** admin統計名のHTML変換前サニタイズ
  - `admin`インターフェースを利用している場合に適用されます。
  - `admin`で、統計名をHTMLに変換する前にサニタイズするようになりました。`envoy.reloadable_features.sanitize_html_stats_names`で制御されます。CVE-2026-73546（GHSA-pv9h-4fxf-7vrg）に対応しています。
- **[security]** URIパスのないリクエストによる`ext_authz`の異常終了修正
  - `ext_authz`を利用している場合に適用されます。
  - `ext_authz`で、URIパスのないリクエスト（CONNECTなど）による異常終了を修正しました。CVE-2026-73547（GHSA-87ph-jqwm-pg6r）に対応しています。
- **[security]** 汎用HTTPアップグレード前のペイロード処理修正
  - HTTP汎用アップグレードを利用している場合に適用されます。
  - `http`で、汎用HTTPアップグレードの受理前に送信されたペイロードがパイプライン化されたHTTP/1リクエストとして解釈され、共有アップストリーム接続を汚染する問題を修正しました。`envoy.reloadable_features.http_pause_generic_upgrade_request_body`で元に戻せます。CVE-2026-73548（GHSA-3vhp-c83q-jqc2）に対応しています。
- **[security]** QUICのスコープ付きIPv6アドレス処理修正
  - `quic`を利用している場合に適用されます。
  - `quic`で、QUICクライアント接続およびOriginal Dstクラスターにおけるスコープ付きIPv6アドレスの処理時のクラッシュを修正しました。CVE-2026-73549（GHSA-jp5f-qr64-c9vw）に対応しています。
- **[security]** 破棄されたHostヘッダーの制限値への算入
  - `http2`を利用している場合に適用されます。
  - `http2`で、破棄された`Host`ヘッダーもリクエストヘッダーマップのサイズおよび個数の制限に算入するようになりました。`envoy.reloadable_features.http2_track_size_of_dropped_host_header`で元に戻せます。CVE-2026-73550（GHSA-qgf6-qvhw-4hvh）に対応しています。
- **[security]** ドットセグメントのパラメーター除去
  - `normalize_path`が有効な場合に適用されます。
  - `url normalization`で、ドットおよびドットドットセグメント（`/.;`、`/..;`）からパスパラメーターを除去し、正規化で正しく解釈するようになりました。`normalize_path`が有効な場合だけ適用され、`envoy.reloadable_features.strip_dotdot_segments_with_parameters`で元に戻せます。CVE-2026-73551（GHSA-2w8w-rfw7-8gg4）に対応しています。
- **[security]** `safe_regex`の文字セットモード変更
  - `safe_regex`を利用している場合に適用されます。
  - `safe_regex`の文字セットモードをUTF-8からLatin1に変更しました。HTTPヘッダーがUTF-8エンコードではないことに対応しています。`envoy.reloadable_features.re2_use_latin1_mode`で元に戻せます。CVE-2026-73552（GHSA-23xh-2qxr-3xv8）に対応しています。
- **[security]** RBACパス照合におけるパスパラメーター設定の反映
  - `rbac`を利用し、`ignore_path_parameters_in_path_matching`を設定している場合に適用されます。
  - `rbac`のパス照合が、ルートの`ignore_path_parameters_in_path_matching`設定を尊重するようになりました。追加されたパスパラメーターによる認可回避を防ぎます。`envoy.reloadable_features.rbac_respect_ignore_path_parameters`で元に戻せます。CVE-2026-73553（GHSA-77x5-xqjg-hprq）に対応しています。
- **[security]** HTTP経由の`ext_authz`における解放済みメモリ使用修正
  - HTTP経由で`ext_authz`を利用している場合に適用されます。
  - HTTP経由の`ext_authz`で、リクエストが拒否された際に発生する解放済みメモリの使用を修正しました。CVE-2026-50572（GHSA-q8wp-gf7q-m8cv）に対応しています。
- **[security]** ALPNでHTTP/3を選択した場合の異常終了修正
  - `http3`を利用している場合に適用されます。
  - `http3`で、ALPNによってアップストリームプロトコルが選択され、サーバーがHTTP/3を使用する場合の異常終了を修正しました。CVE-2026-48521（GHSA-5vff-j9p4-38j3）に対応しています。

## その他の記録された変更
- 4 (defect_corrected 4)

[分析の詳細](https://ratatosk.io/ja/releases/envoy/v1.36.10)

[元のリリースノート](https://github.com/envoyproxy/envoy/releases/tag/v1.36.10)